O que é uma vulnerabilidade zero-day e por que ela pode ser perigosa?

Publicado em 2026-10-20 por frfrand

Vulnerabilidades zero-day explicadas: descubrimiento, explotación, parches, diferencia con CVE y cómo proteger sistemas sin una corrección disponible.

Uma vulnerabilidade zero-day é uma falha de segurança que pode ser explorada antes de que exista uma correção disponível ou quando o fabricante ainda não teve tempo suficiente para responder. Na linguagem habitual, utiliza-se especialmente para falhas desconhecidas pelo fornecedor ou sem patch no momento em que são aproveitadas.

O termo aparece constantemente em notícias e costuma soar a filme de espiões. Mas a ideia básica é bastante simples: há um problema de segurança e ainda não existe uma solução definitiva que todos possam instalar.

Por que se chama zero-day?

A expressão alude a que o fornecedor dispõe de «zero dias» de preparação ou margem para corrigir a falha quando se conhece ou começa a ser explorada, conforme o uso do termo.

Não significa que o erro tenha sido criado ontem. Pode ter existido durante anos dentro de um programa sem que ninguém o detectasse publicamente.

Uma vulnerabilidade recém-descoberta também não implica automaticamente que alguém esteja a explorá-la. Convém distinguir descoberta, exploração e disponibilidade de uma correção.

Um exemplo cotidiano

Imaginá uma fechadura utilizada em milhares de edifícios. De repente se descobre um defeito que permite abri-la de uma forma não prevista.

Se ainda não existe uma peça de substituição nem um procedimento definitivo para corrigi-la, os administradores precisam de medidas temporárias: limitar acessos, reforçar a vigilância ou fechar determinadas entradas.

No software acontece algo parecido. Pode ser que ainda não exista uma atualização, mas sim medidas de mitigação para reduzir a exposição.

Todas as vulnerabilidades têm CVE?

Nem sempre. CVE é um sistema de identificadores públicos para determinadas falhas de segurança. Um código CVE ajuda a coordenar informações sobre um problema, produtos afetados e referências.

A existência de um CVE não significa que a falha seja zero-day nem que esteja sendo utilizada ativamente por atacantes. Existem vulnerabilidades conhecidas há anos que continuam afetando instalações não atualizadas.

Também existem problemas novos que ainda não possuem identificador público.

O que é uma mitigação?

Uma mitigação reduz o risco sem necessariamente corrigir a causa da falha. Pode incluir desabilitar uma função vulnerável, restringir um serviço, aplicar regras temporais ou isolar sistemas.

Por exemplo, se um aplicativo público possui um componente vulnerável e não existe patch, talvez você possa desativar esse componente ou limitar quem pode acessar. A medida depende da falha real e das recomendações do fornecedor.

Não é aconselhável improvisar uma configuração sem compreender as consequências sobre disponibilidade e segurança.

Por que não basta atualizar uma vez por ano?

Porque algumas vulnerabilidades são conhecidas e exploradas rapidamente. Um programa exposto à Internet e sem manutenção pode acumular múltiplas falhas conhecidas, não apenas zero-days.

Manter inventários e conhecer quais versões estão instaladas permite reagir quando aparece um alerta. Se você não sabe quais aplicações executa, não consegue determinar facilmente se um aviso afeta você.

Como priorizar as correções?

Nem todas as vulnerabilidades apresentam o mesmo risco. Importa se o produto está instalado, se a função afetada está habilitada, se é acessível pela Internet e quais privilégios um atacante poderia conseguir.

Também convém estudar a exploração conhecida e as recomendações dos fabricantes. Uma pontuação de severidade é informação útil, mas não substitui o contexto.

Um firewall pode me proteger?

Pode reduzir a exposição a certos vetores de ataque, mas não torna um serviço vulnerável seguro. Se a função afetada precisa estar disponível publicamente, uma regra muito geral pode não ser suficiente.

A defesa mais útil costuma combinar patches quando existirem, privilégios mínimos, isolamento, monitoramento e capacidade de recuperação.

O que isso significa para um administrador de VPS?

Se você receber um aviso de segurança sobre uma versão de software que utiliza, verifique a origem do aviso, as versões afetadas e se há uma correção ou mitigação oficial.

Antes de aplicar grandes mudanças, prepare um backup e verifique como restaurar o serviço se algo falhar. Também não convém deixar uma vulnerabilidade crítica exposta simplesmente porque «atualizar pode quebrar algo».

E no ArduMaker?

Os serviços executados dentro de um VPS gerenciado na ArduMaker seguem dependendo de software com versões e atualizações. A plataforma facilita a operação, mas é importante conhecer quais pacotes e aplicações são utilizados e revisar os avisos relevantes.

Em resumo: zero-day descreve uma situação especialmente difícil: existe uma falha explorável e a defesa definitiva pode não estar disponível. Manter inventário, reduzir a exposição e seguir fontes oficiais ajuda a responder melhor.

Referências: Catálogo de vulnerabilidades exploradas da CISA · Programa CVE · O que é uma auditoria de segurança.